CVE-2026-54133 jmespath.phpでのPHPコード実行脆弱性に注意
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
PHPで利用されるjmespath.phpライブラリのバージョン2.9.1以前において、`JmesPathCompilerRuntime`が攻撃者が制御可能なJMESPath式を処理する際、生成されるPHPコードに悪意のあるコードが注入される可能性があります。これにより、サーバー上で任意のPHPコードが実行されるリスクが生じます。PHPアプリケーションでこのライブラリを用いてユーザー入力などの信頼性の低いJMESPath式を処理している場合、コード実行の危険性があります。確認時は、使用しているライブラリのバージョンを確認し、`JmesPathCompilerRuntime`の使用状況を点検してください。回避策として、`JP_PHP_COMPILE`の無効化や、信頼性の低い式には`AstRuntime`の利用を検討してください。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について考えたことはあるか。コードの信頼性とユーザーの入力の関係にどのような倫理的義務があるだろうか。
おっしゃる通りですが、ソクラテス。現実のLinux運用者はまず、jmespath.phpのバージョンを確認すべきです。`composer show jmespath/jmespath`や`php -m`で確認できます。また、`JmesPathCompilerRuntime`がどこで使われているか、コードベースを検索する必要があります。
では、この脆弱性がもたらすリスクは、哲学的には「信頼の喪失」に該当するか。
まさにその通りです。しかし、現場では「信頼」を再構築するため、`JP_PHP_COMPILE`を無効化するか、`AstRuntime`に切り替えることが重要です。パッチ適用の際は変更管理を厳守し、監視ツールで`JmesPath`関連のエラーログをチェックする必要があります。
だが、ベンダーの情報確認はなぜ必要なのだろう。
ソクラテス、jmespath.phpの公式リポジトリやPHPのパッケージ管理システムで最新バージョンを確認しないと、誤って脆弱性のあるバージョンを導入する危険があります。また、CVSS9.8という深刻度を踏まえ、優先度を高めることも肝要です。
では、すべての運用者はこの脆弱性を「他者への義務」として捉えるべきか。
もちろんです。しかし、まずは現実の手順を実行するべきです。コードの点検、パッチ適用、監視の三段階でリスクを抑えるのが、管理者の務めです。冗談ですが、この脆弱性は「PHPの信頼性」を問う哲学的問いを、実務の現場で即座に答えなければならないのです。
関連キーワード: php